関西万博チケット、不正アクセスによる第三者への譲渡事例が報じられる

チケットサイトにおいては、万博IDとパスワードによるログインの他、本人確認方法として「登録メールアドレスへ送信されるワンタイムパスワード」「アプリが生成するワンタイムパスワード(TOTP)」および「生体認証」が利用可能です。

不正ログインにおいては、十分に強力ではないパスワードを設定していた、他のサイトで使用していたパスワードを使い回していた(これによりパスワードリスト攻撃を受けた)可能性、またワンタイムパスワードによる本人確認の際、フィッシングサイトにID・パスワードおよびワンタイムパスワードを入力してしまい、奪取された可能性、等が考えられます。

不正ログインを最も確実に防ぐためには、基本的に登録したスマートフォンからのみログイン可能となるパスキーによる認証を選ぶことが望ましく、それ以外を用いる場合は、パスワードマネージャー等が生成した十分に複雑ないし長いパスワードを用いる、かつフィッシングの可能性に対し十分に注意を払うことが肝要です。

– シンボリックリンクはLinuxでは一般的な機能である一方、過去にも様々なソフトウェアで、外部ディレクトリを指すリンクの作成により、任意のファイルを上書きするよう攻撃される脆弱性が報告されています。

Windowsでは通常シンボリックリンク作成のために管理者権限が必要であること等から、CVE-2025-55188の危険度は比較的低く設定されている模様ですが、管理者として書庫ファイルを展開する場面は少なからず存在し、これを狙って不正な書庫ファイルによる攻撃を行うシナリオが考えられます。

7-Zipのような自動更新ないしアップデートリリース時の通知を行う機能がないソフトウェアについては、アップデートのリリース情報を随時収集しつつ、また最新バージョンの入手の際にもサーチエンジンで上位に表示されたサイトに安易にアクセスすることなく(偽のソフトウェアやマルウェアをダウンロードさせる悪意のあるサイトが広告で表示される場合があるため)、ソフトウェア自身のバージョン情報等で表示される公式サイトへアクセスすることに留意すべきでしょう。